DSGVO wird zum Kauf-Thema, lange bevor ein Hinweisgebersystem live geht.
Ab der ersten Meldung kann das System Vorwürfe, Zeugendaten, interne Notizen, Nachweise, Zugriffsprotokolle und Kommunikation enthalten — mit erheblichen Folgen bei Fehlern. Deshalb sollten Käufer das Datenmodell früh testen, nicht die DSGVO-Prüfung auf die Vertragsphase verschieben, wenn die Shortlist schon steht.
Dieser Artikel ist eine Beschaffungs-Checkliste, keine Rechtsberatung. Ob Ihre Organisation im Einzelfall compliant ist, hängt von Konfiguration, Prozess und rechtlicher Bewertung ab. Disclosurely ist Software — kein Rechtsprodukt und keine Datenschutz-Garantie.
Die praktische Frage statt des Labels
Die nützliche Beschaffungsfrage lautet:
„Wie hilft diese Plattform uns, sensible Meldungen verhältnismäßig, kontrolliert und nachprüfbar zu bearbeiten?“
Das ist hilfreicher als „Ist der Anbieter DSGVO-konform?“ — weil fast jeder Anbieter mit Ja antwortet.
Besser prüfen:
- welche Daten tatsächlich erhoben werden
- wer darauf zugreifen kann
- wie lange sie gespeichert werden
- wo sie gehostet werden
- wie anonyme oder vertrauliche Meldung technisch funktioniert
- was später exportiert oder gelöscht werden kann
Produktkontext: DSGVO-nahe Hinweisgeber-Software.
1. Welche Daten werden standardmäßig erhoben?
Das Risiko beginnt beim Intake — nicht erst danach. Prüfen Sie:
- ob das Formular unnötige Personendaten verlangt
- ob IP-Adressen oder andere Metadaten erfasst werden
- ob hochgeladene Dateien versteckte Identifikatoren enthalten können
- ob mehr Information gesammelt wird, als der Workflow braucht
Bei anonymen Meldungen reicht oft das Versprechen „Wir fragen keinen Namen ab“ nicht. Metadaten und technische Signale können Anonymität untergraben.
2. Wie werden Rechtsgrundlage und Rollen erklärt?
Käufer brauchen keine Rechtsgutachten vom Produktteam — aber eine klare Erklärung, wie die Plattform in Ihr Betriebsmodell passt:
- welche Verarbeitung die Organisation steuert
- was der Anbieter als Auftragsverarbeiter leistet
- wie das Produkt dokumentierte Verantwortlichkeit unterstützt
- wo Policy und rechtliche Bewertung bei Ihnen bleiben
Antworten nur in Sales-Sprache sind ein Warnsignal für spätere Vertragsverhandlungen.
3. Wie sind Zugriff und Berechtigungen geregelt?
Meldungen sollten nicht für jeden mit Admin-Rechten sichtbar sein. Fragen Sie:
- Kann der Zugriff nach Rolle eingeschränkt werden?
- Können besonders sensible Fälle weiter eingegrenzt werden?
- Wie werden HR, Legal, Compliance und externe Prüfer getrennt?
- Wird der Zugriffsverlauf protokolliert?
Viele DSGVO-Probleme entstehen nicht durch Speicherung allein, sondern weil zu viele Personen Fallinhalte sehen, exportieren oder bearbeiten können.
Das ist ein Grund, Fallmanagement und Datenschutz gemeinsam zu bewerten.
4. Wie sieht Aufbewahrung in der Praxis aus?
Aufbewahrung zeigt schnell, ob der Anbieter den echten Betrieb verstanden hat:
- Sind Fristen konfigurierbar?
- Lassen sie sich Falltypen oder Policy-Regeln zuordnen?
- Was passiert am Ende der Frist?
- Sind Löschung, Anonymisierung oder Archivierung dokumentiert?
- Wie werden Legal Holds gehandhabt?
Seriöse Anbieter beschreiben konfigurierbare Aufbewahrung, Löschsteuerung und nachvollziehbare Workflows — nicht unbegrenzte Speicherung als Default.
5. Wo werden Daten gehostet — und wie ist das dokumentiert?
Für viele Käufer liegen Hosting- und Residency-Fragen nahe an DSGVO-Bedenken. Fragen Sie:
- wo Primärdaten gehostet werden
- ob Backups dieselben regionalen Kontrollen haben
- wie Subprozessoren dokumentiert sind
- welcher grenzüberschreitende Support-Zugriff existiert
- ob AVV und Subprozessorliste verfügbar sind
Nicht jede Organisation braucht dieselbe Antwort — aber die Antwort muss klar, konsistent und in der Beschaffung verwendbar sein.
Mehr: Sicherheitskriterien Hinweisgeber-Software.
6. Wie behandelt die Plattform anonyme und vertrauliche Meldung?
Hier schneiden sich DSGVO, Vertrauen und Produktdesign. Prüfen Sie:
- anonymes Follow-up ohne Identitätsoffenlegung
- ob Metadaten die meldende Person identifizierbar machen
- unterschiedliche Behandlung anonymer und vertraulicher Fälle
- wie viel Kommunikations-Metadaten entstehen
Vertiefung: Anonyme Meldung und Zwei-Wege-Kommunikation.
7. Was kann später exportiert, geprüft oder gelöscht werden?
Eine der nützlichsten Beschaffungsfragen betrifft das Leben nach Fallabschluss:
- wie Exporte aussehen
- wer sie erzeugen darf
- ob der Prüfpfad enthalten ist
- wie Löschung oder Anonymisierung den Nachweis verändert
- ob Entscheidungen zu Zugriff, Aufbewahrung und Abschluss dokumentiert werden können
Schwache Records sind schwer zu verteidigen; unkontrollierte Exporte sind schwer zu steuern.
8. Welche Dokumentation sollte die Beschaffung erwarten?
Das Paket variiert, aber ernsthafte Käufer wollen mehr als eine Marketingseite:
- AVV / Auftragsverarbeitungsvertrag
- Subprozessor-Transparenz
- Sicherheits- und Zugriffsdokumentation
- Erklärung zu Aufbewahrung und Löschung
- Klarheit zu Hosting und Supportmodell
- Antworten, die Legal, Privacy und Procurement nutzen können
Ziel ist nicht Papier um des Papieres willen — sondern weniger Unklarheit vor Vertragsabschluss.
DSGVO-Käufer-Checkliste (Kurzform)
| Bereich | Was prüfen |
|---|---|
| Intake | Nur nötige Daten; glaubwürdige Anonymität |
| Rollen | Verantwortlicher vs. Auftragsverarbeiter klar |
| Zugriff | Sensible Fälle nur für berechtigte Rollen |
| Aufbewahrung | Konfigurierbar und durchsetzbar |
| Hosting | Region, Subprozessoren, Supportmodell klar |
| Export | Nachvollziehbar ohne Governance-Lücken |
| Dokumentation | Verwendbare Antworten statt Floskeln |
Wo dieser Artikel in der Kaufreise sitzt
Dieser Leitfaden ersetzt weder Datenschutzerklärung noch Rechtsberatung. Er hilft, bessere Fragen in der Anbieterbewertung zu stellen — besonders wenn Sie bereits vergleichen:
Kurzfazit
DSGVO ist eines der klarsten Signale dafür, ob eine Hinweisgeber-Plattform für echte operative Prüfung gebaut wurde.
Die stärkeren Anbieter machen selten die breitesten Claims. Sie erklären in verständlicher Sprache, wie das System Erhebung, Zugriff, Aufbewahrung, Hosting und Review handhabt, sobald ein sensibler Fall im System ist.